Skip to content
KitploitKITPLOIT
उपकरणब्लॉग
जमा करें
उपकरणब्लॉग
जमा करें

हैकिंग, पेनटेस्ट और साइबर सुरक्षा उपकरण आपके सुरक्षा शस्त्रागार के लिए!

Kitploit हैकिंग, साइबर सुरक्षा और पेंटेस्टिंग टूल्स की एक निर्देशिका है। कमजोरियों को खोजने, सिस्टम का विश्लेषण करने, परीक्षण को स्वचालित करने और अपनी सुरक्षा को मजबूत करने के लिए नवीनतम प्रोजेक्ट अपडेट खोजें।

··फ़ीड·संपर्क·गोपनीयता·© 2026 Kitploit

टूल निर्देशिका

श्रेणियाँ

सभी श्रेणियाँ देखें
Loading categories
TCL-xss-Labs — 33 क्रमशः कठिन चुनौतियों के साथ एक इंटरैक्टिव, स्व-होस्टेड XSS प्रशिक्षण प्लेटफॉर्म | Kitploit
उपकरण/GitHubGitHub/the-cyber-ledger/tcl-xss-labs
भेद्यता विश्लेषणवेब एप्लिकेशन शोषणवेब सुरक्षाCTFपेनिट्रेशन टेस्टिंगलर्निंग और शिक्षालर्निंग पाथ और कोर्सलैब और अभ्यास
GitHubthe-cyber-ledger/tcl-xss-labs

TCL-xss-Labs

33 क्रमशः कठिन चुनौतियों के साथ एक इंटरैक्टिव, स्व-होस्टेड XSS प्रशिक्षण प्लेटफॉर्म

रिपॉजिटरी देखें
165 महीने पहलेअभी तक समीक्षित नहीं

सबसे लोकप्रिय

सभी देखें →

हमारे समुदाय द्वारा सबसे अधिक उपयोग किए जाने वाले उपकरण खोजें।

सभी उपकरण खोजें

हमारे उपकरणों का संग्रह ब्राउज़ करें

सभी उपकरण देखें →
साझा करें

XSS Lab — The Cyber Ledger

💸 यदि यह प्रोजेक्ट आपकी मदद करता है, तो कृपया इसे बढ़ाने के लिए $10 के दान से समर्थन करने पर विचार करें। लिंक: https://rzp.io/rzp/zgkC6h5B

एक इंटरैक्टिव, स्व-होस्टेड XSS प्रशिक्षण प्लेटफ़ॉर्म जिसमें 33 क्रमिक रूप से कठिन चैलेंज हैं — हैकर्स, पेंटेस्टर्स और डेवलपर्स के लिए डिज़ाइन किया गया है जो क्रॉस-साइट स्क्रिप्टिंग को मूलभूत स्तर से लेकर वास्तविक दुनिया के शोषण तक मास्टर करना चाहते हैं।

⚡ हमलावरों के लिए बनाया गया
⚡ सीखने के लिए डिज़ाइन किया गया
⚡ सरलता के लिए इंजीनियर किया गया

  • एकल Node.js सर्वर
  • कोई डेटाबेस आवश्यक नहीं
  • कोई बिल्ड स्टेप नहीं
  • एक-कमांड डिप्लॉयमेंट के लिए पूरी तरह से Dockerized

चैलेंज

33 प्रगतिशील XSS चैलेंज बुनियादी रिफ्लेक्शन से लेकर उन्नत वास्तविक दुनिया के शोषण तक।

🟢 आसान

#नामविवरण
1नमस्ते, रिफ्लेक्टेड XSSकोई फ़िल्टर नहीं, कोई एन्कोडिंग नहीं। आपका इनपुट सीधे पेज में रिफ्लेक्ट होता है।
2स्टोर्ड XSS गेस्टबुकआपका इनपुट स्टोर होता है और सभी विज़िटर्स के लिए रेंडर किया जाता है। क्लासिक पर्सिस्टेंट XSS।

🟡 मध्यम

#नामविवरण
3स्क्रिप्ट टैग अवरुद्धसर्वर <script> टैग को हटा देता है। JavaScript निष्पादित करने का कोई दूसरा तरीका खोजें।
4गुण इंजेक्शनआपका इनपुट एक HTML गुण के अंदर आता है। बाहर निकलें और कोड निष्पादित करें।
5जावास्क्रिप्ट संदर्भआपका इनपुट एक जावास्क्रिप्ट स्ट्रिंग वेरिएबल के अंदर रखा जाता है। बच निकलें और इंजेक्ट करें।
28मार्कडाउन इंजेक्शनएक भोला मार्कडाउन रेंडरर आपकी पोस्ट को HTML में बदल देता है। इसे JavaScript निष्पादित करने दें।
32फ़ाइलनाम इंजेक्शनएक फ़ाइल अपलोड करें। फ़ाइलनाम बिना सैनिटाइज़ेशन के UI में रिफ्लेक्ट होता है।

🔴 कठिन

#नामविवरण
6ईवेंट हैंडलर ब्लॉकलिस्टसामान्य ईवेंट हैंडलर ब्लॉक किए गए हैं। एक अस्पष्ट हैंडलर खोजें जिसे फ़िल्टर ने छोड़ दिया है।
7केस और कीवर्ड फ़िल्टरआक्रामक सिंगल-पास फ़िल्टर। नेस्टेड कीवर्ड का उपयोग करके उन्हें स्ट्रिपिंग के बाद पुनर्निर्माण करें।
8DOM-आधारित XSSभेद्यता पूरी तरह से URL से पढ़ने वाले क्लाइंट-साइड JavaScript में मौजूद है।
25खुला पुनर्निर्देशन → XSSमेटा-रिफ़्रेश टैग के साथ एक खुले पुनर्निर्देशन को जोड़कर XSS प्राप्त करें।
27localStorage DOM XSSlocalStorage में संग्रहीत डेटा बिना सैनिटाइज़ेशन के रीलोड पर रेंडर होता है।

⚫ विशेषज्ञ

#नामविवरण
9फ़िल्टर के साथ href इंजेक्शनइनपुट एक एंकर href में जाता है जिसमें कई फ़िल्टर लागू होते हैं।
10JSONP के माध्यम से CSP बाईपासएक ही-ओरिजिन JSONP एंडपॉइंट का उपयोग करके कंटेंट सिक्योरिटी पॉलिसी को बायपास करें।
11डबल एन्कोडिंग बाईपासWAF और एप्लिकेशन के बीच डबल डिकोडिंग व्यवहार का शोषण करें।
12क्लाइंट-साइड टेम्पलेट इंजेक्शनटेम्पलेट इंजन eval का उपयोग करके {{expressions}} का मूल्यांकन करता है।
13postMessage XSSओरिजिन सत्यापन के बिना असुरक्षित क्रॉस-विंडो मैसेजिंग का शोषण करें।
14SVG अपलोड XSSSVG फ़ाइलें अपलोड करें और SVG-विशिष्ट सुविधाओं का उपयोग करके पेलोड निष्पादित करें।
15म्यूटेशन XSSब्राउज़र DOM म्यूटेशन व्यवहार का उपयोग करके सैनिटाइज़ेशन को बायपास करें।
16पुनरावर्ती कीवर्ड फ़िल्टरफ़िल्टर पुनरावर्ती रूप से लूप करता है — वैकल्पिक निष्पादन संदर्भों का उपयोग करें।
17द पॉलीग्लॉटपेलोड को HTML, गुण और JS संदर्भों में निष्पादित होना चाहिए।
18DOM क्लॉबरिंगक्राफ्टेड HTML तत्वों का उपयोग करके ग्लोबल वेरिएबल्स को ओवरराइट करें।
19प्रोटोटाइप प्रदूषण → XSSप्रत्यक्ष HTML इंजेक्शन के बिना XSS प्राप्त करने के लिए प्रोटोटाइप चेन को प्रदूषित करें।
20बेस टैग इंजेक्शनरिसोर्स लोडिंग में हेरफेर करने और CSP को बायपास करने के लिए <base> इंजेक्ट करें।
21डैंगलिंग मार्कअप इंजेक्शनकेवल HTML इंजेक्शन (कोई JS नहीं) का उपयोग करके संवेदनशील डेटा बाहर निकालें।
22स्क्रिप्ट ब्लॉक में JSON इंजेक्शनएक नॉन्सेड स्क्रिप्ट ब्लॉक के अंदर JSON संदर्भ से बच निकलें।
23URL स्कीम बाईपासएन्कोडिंग ट्रिक्स का उपयोग करके javascript: को ब्लॉक करने वाले फ़िल्टर को बायपास करें।
24CSS इंजेक्शन एक्सफ़िल्ट्रेशनJavaScript के बिना संवेदनशील डेटा निकालने के लिए CSS का उपयोग करें।
26CRLF → प्रतिक्रिया विभाजनHTTP प्रतिक्रिया को विभाजित करने और HTML इंजेक्ट करने के लिए हेडर इंजेक्ट करें।
29iframe सैंडबॉक्स एस्केप

आरंभ करना (स्थानीय)

root@kitploit:~
git clone https://github.com/The-Cyber-Ledger/TCL-xss-labs.git
cd TCL-xss-labs
npm install
npm start

खोलें: http://localhost:3000

Docker के साथ चलाएं (अनुशंसित)

एक कमांड से सभी 33 लैब को तुरंत चलाएं:

root@kitploit:~
docker pull shadowpacket/tcl-xss-labs
docker run -p 3000:3000 shadowpacket/tcl-xss-labs

खोलें: http://localhost:3000

विशेषताएँ

  • सभी 33 स्तरों पर प्रगति ट्रैकिंग के साथ डैशबोर्ड
  • प्रत्येक स्तर के लिए संकेत (स्पॉइलर से बचने के लिए base64-एन्कोडेड)
  • प्रत्येक चैलेंज को हल करने के बाद विस्तृत राइटअप अनलॉक होते हैं
  • पेलोड, संदर्भों और बचावों के साथ चीट शीट
  • solutions.json में स्थानीय प्रगति सहेजी गई
  • किसी भी समय पुनरारंभ करने के लिए रीसेट सिस्टम
  • शून्य परेशानी डिप्लॉयमेंट के लिए Dockerized

यह कैसे काम करता है

  • प्रत्येक स्तर दोषपूर्ण बचावों वाले एक असुरक्षित वेब एप्लिकेशन का अनुकरण करता है। आपका लक्ष्य: alert() ट्रिगर करना या यथार्थवादी शोषण करना (डेटा एक्सफ़िल्ट्रेशन, व्यवस्थापक अधिग्रहण, आदि)।

सीखने का पथ

  • स्तर 1–10 → मूल बातें (रिफ्लेक्टेड, स्टोर्ड, DOM XSS)
  • स्तर 11–20 → फ़िल्टर, CSP, एन्कोडिंग बाईपास
  • स्तर 21–30 → उन्नत शोषण तकनीकें
  • स्तर 31–33 → वास्तविक दुनिया के हमले के अनुकरण

आवश्यकताएँ

  • Node.js 18+ (स्थानीय सेटअप के लिए)
  • आधुनिक ब्राउज़र (Chrome अनुशंसित)
  • Docker (वैकल्पिक लेकिन अनुशंसित)

अस्वीकरण

यह प्रोजेक्ट जानबूझकर असुरक्षित प्रशिक्षण वातावरण है। केवल स्थानीय या नियंत्रित वातावरण में उपयोग करें। बिना प्राधिकरण के सिस्टम को लक्ष्य न करें। केवल शैक्षिक उद्देश्यों के लिए।

अंतिम नोट

अधिकांश लोग लैब हल करके XSS सीखते हैं। यह प्रोजेक्ट आपको एक वास्तविक हमलावर की तरह शोषण को समझने में मदद करता है।

टूल डाउनलोड करें
असुरक्षित iframe सैंडबॉक्स कॉन्फ़िगरेशन से बच निकलें।
30AngularJS सैंडबॉक्स एस्केपAngularJS एक्सप्रेशन सैंडबॉक्स बायपास तकनीकों का शोषण करें।
31वेब कम्पोनेंट स्लॉट इंजेक्शनस्लॉट-आधारित रेंडरिंग के माध्यम से शैडो DOM में इंजेक्ट करें।
33ब्लाइंड XSS (आउट-ऑफ-बैंड)एक अनदेखे व्यवस्थापक पैनल में पेलोड निष्पादन ट्रिगर करें।